Sikkerhetskopi og sikkerhet for nettsiden: før du blir hacket
En sikkerhetskopi som ikke er testet, er ingen sikkerhetskopi; bruk denne sjekklisten før du blir hacket, og beskytt nettsiden din mot katastrofe.
Publisert av: Hızlı Yazılım
Hvor sikkerhetskopien din faktisk ligger
Ligger sikkerhetskopien av nettstedet bare i en egen mappe på den samme serveren, kan en angriper som lykkes, kryptere eller slette den mappen under innbruddet. 3-2-1-regelen er fortsatt det praktiske utgangspunktet for små bedrifter: ha tre kopier, bruk to ulike lagringsmedier, og oppbevar én kopi utenfor huset. En sikkerhetskopi som aldri forlater produksjonsserveren, er ingen sikkerhetskopi; den tar bare opp diskplass.
Bruk verktøy som UpdraftPlus, Duplicator Pro, cPanel Backup, JetBackup eller en enkel rsync med en cron-jobb. Send eksterne kopier til AWS S3, Google Drive, Backblaze B2 eller Hetzner Storage Box. Krever bransjen din at data blir værende i et bestemt land eller en bestemt region, må du kontrollere hvor skyleverandøren lagrer dataene. Enkelte bransjeregler begrenser overføring av data over landegrensene, så avklar med compliance-rådgiveren din før du velger et eksternt lagringssted.
Ingen gjenopprettingsøvelse, ingen sikkerhetskopi
At en sikkerhetskopifil finnes, er ikke det samme som at den kan gjenopprettes. Korrupte arkiver, ufullstendige databasedumper og feil filrettigheter viser seg først under en faktisk gjenoppretting. Derfor er en sikkerhetskopi som ikke er testet, ingen sikkerhetskopi i det hele tatt. Gjør minst én gang i måneden en full gjenoppretting til et testmiljø, og kontroller filer, database, utvidelser og temainnstillinger samlet.
Automatiser øvelsen med et lite skript: ta en nylig sikkerhetskopi, pakk den ut i et testområde, og sjekk at forsiden returnerer HTTP 200. Feiler sjekken, markerer du sikkerhetskopisystemet med rødt varsel. Mål også hvor lang tid gjenopprettingen tar; en sikkerhetskopi som gjenopprettes på to timer, er langt mer verdt enn en som tar åtte timer i en krisesituasjon.
Oppdateringsdisiplin: utdatert programvare inviterer angripere
Gamle versjoner av WordPress, WooCommerce, Joomla eller egenutviklede applikasjoner har kjente sårbarheter som angripere skanner etter automatisk. Et nettsted som hopper over oppdateringer, blir etter hvert et forutsigbart mål. Slå på automatiske oppdateringer for mindre sikkerhetsoppdateringer, men test større versjonshopp i et testmiljø først.
Før en oversikt over utvidelser og temaer, og slett alt som ikke brukes, for selv en inaktiv, utdatert utvidelse øker risikoen. Les endringsloggene før du oppdaterer, og sjekk om det finnes kjente konflikter. Men vær forsiktig: automatiske oppdateringer kan ødelegge egenutviklet kode og ta ned nettstedet. I stedet for å sende automatiske hovedoppdateringer rett til produksjon bør du planlegge et vedlikeholdsvindu og gjennomføre dem med en plan for tilbakerulling.
Lås administrasjonspanelet som et hvelv
Angripere bryter seg ofte inn i administrasjonspaneler med rå kraft (brute force). Endre standardstiene /admin eller /wp-admin, begrens antall innloggingsforsøk, og krev tofaktorautentisering. Bruk lange, unike passord laget av en passordbehandler; bruk aldri det samme passordet for e-post eller andre tjenester.
Begrens administratortilgangen med en liste over tillatte IP-adresser og VPN for dem som jobber eksternt. I WordPress bør du slå av XML-RPC og unødvendige REST-endepunkter. Verktøy som Wordfence, Sucuri eller Imunify360 på serversiden blokkerer brute force-angrep og ondsinnede forespørsler. Skill også rollene: en innholdsredaktør skal ikke ha fulle administratorrettigheter.
Tilpass hyppigheten av sikkerhetskopier til typen nettsted
Én plan for sikkerhetskopiering passer ikke alle nettsteder. Nettbutikker, medlemssystemer og bookingmoduler endrer data hele tiden; for dem bør du ta sikkerhetskopi av databasen minst én gang i timen og fulle filkopier daglig. Et statisk presentasjonsnettsted klarer seg ofte med en full sikkerhetskopi i uken.
For nettsteder med mange transaksjoner bør du bruke inkrementelle sikkerhetskopier; tar en full kopi flere timer hver gang, er daglige inkrementelle kopier pluss en full kopi i uken fornuftig. Med begrenset budsjett kan du eksportere de mest kritiske dataene (bestillinger, brukere, innhold) separat. Men automatiske fulle sikkerhetskopier hver time trengs ikke for alle nettsteder; de bruker ressurser og øker kostnadene. Start med å definere hvor raskt du må kunne gjenopprette.
Kombiner sikkerhetskopi med sikkerhetsovervåking
Sikkerhetskopi alene er ikke sikkerhet; den stopper ikke et angrep, den gjør det bare mulig å gjenopprette. Etter et innbrudd er det ikke nok å gjenopprette fra en ren sikkerhetskopi – finner og tetter du ikke sårbarheten, kommer angriperen inn gjennom den samme døren igjen. Kombiner sikkerhetskopiering med overvåking av filintegritet, skanning etter skadevare og gjennomgang av logger.
Kjør Sucuri SiteCheck, Wordfence, ClamAV eller skannere på serversiden jevnlig. Bruk Git-basert versjonskontroll for å sammenligne filendringer før og etter en hendelse. En praktisk rutine for et lite team: automatisk sikkerhetskopi + ukentlig sikkerhetsrapport + månedlig gjenopprettingsøvelse. Slik reagerer du før nettstedet blir hacket.